Cyber-Attacken mit VerschlüsselungstrojanernRansomware: Prävention und Vorgehen bei einem Angriff auf die Unternehmensdaten
26. Januar 2023
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt Alarm und bewertet die Sicherheitslage im aktuellen Bericht zur Lage der IT-Sicherheit in Deutschland als besorgniserregend. Insbesondere die Schäden durch Ransomware-Attacken sind laut dem Digitalverband Bitkom e.V. seit 2019 um 358 Prozent angestiegen und treffen heute Betriebe aller Branchen und Größen.
Hinter dem Begriff „Ransomware“ werden klassischerweise Cyber-Attacken mithilfe von Verschlüsselungstrojanern verstanden. Dabei werden über verschiedene Einfallstore Malware-Codes in ein System oder Netzwerk eingeschleust, die in der Lage sind, Dateien zu verschlüsseln und damit für den Anwender unbrauchbar zu machen. In aller Regel geht damit eine Lösegeldforderung der Cyber-Kriminellen einher, um die Dateien vermeintlich wieder zu entschlüsseln oder von einer etwaigen Veröffentlichung der mitunter sensiblen Daten abzusehen.
Planung und Koordination von Angriffen organisierter Gruppen
„Ransomware-Angriffe können sich für Cyber-Kriminelle mitunter als sehr lukrativ erweisen, was ein Hauptgrund für die alarmierende Verbreitung dieser Angriffsart darstellt. Während früher noch gezielt Unternehmen bestimmter Branchen etwa aus dem Finanzdienstleistungs-, Logistik-, Gesundheitswesen- oder Energie-Sektor von den Angreifern ins Visier genommen wurden, werden heute Organisationen jeglicher Couleur und Größe Ziel von Ransomware-Attacken“, erläutert Sven-Ove Wähling, Geschäftsführer des Braunschweiger IT-Systemhauses Netzlink Informationstechnik GmbH.
So seien es auch vermehrt organisierte Gruppen, die die Angriffe sehr gezielt und koordiniert planen. Innerhalb dieser Gruppen arbeiten die Angreifer vielfach mit Spezialisten, die sich für einzelne Bereiche wie Informationsbeschaffung zu den Zielen, Schwachstellenanalyse, Kommunikation und Ausführung verantwortlich zeichnen. „Aufgrund dieser Vorabrecherchen wissen die Angreifer meist schon ganz genau, auf welche Daten sich die Attacken richten und können die Angriffe sehr gezielt ausrichten“, betont Wähling. „Wenn die Attacken sich auf bestimmte Server oder Daten richten, birgt das für Angreifer den Vorteil, dass nur ein kleiner, dafür aber sehr wichtiger Teilbereich verschlüsselt und der Vorfall nicht unbedingt sofort bekannt wird. Dies gibt den Angreifern ausreichend Zeit, weitere Schritte vorzubereiten, bevor eine Kontaktaufnahme erfolgt. Der Zeitraum von der Infiltrierung bis zur Aktivierung der Malware beträgt in aller Regel zwei Stunden bis zwei Wochen.“
Angreifer nutzen öffentliche CVE-Listen auch für die Planung von Angriffen
Das Haupteinfallstor ist vor allem der „Faktor Mensch“ durch E-Mails, bei denen Anhänge, die Schadsoftware enthalten, unachtsam geöffnet oder Links zu Webseiten ohne vorherige Prüfung angeklickt werden. In diesem Fall können schnell kompromittierte Dateien heruntergeladen werden.
Besonders paradox: Die öffentlichen CVE-Listen (Common Vulnerabilities and Exposures) und öffentlichen Datenbanken wie MITRE, die von Unternehmen gerne genutzt werden, um bekannte Schwachstellen nachzuschlagen und Sicherheitspatches herunterzuladen, werden auch von Angreifern frequentiert. Diese Plattformen werden von Angreifern dazu genutzt, um sich über Schwachstellen zu informieren und gezielt Unternehmen anzugreifen, die eben nicht über die entsprechenden Sicherheitspatches verfügen.
Wie erkenne ich, dass ich angegriffen wurde?
Abhängig davon, wie gut das eigene System überwacht wird, treten erfolgreich durchgeführte Angriffe erst in Erscheinung, wenn entweder eine nicht autorisierte Kommunikation identifiziert wird oder erste Dateien verschlüsselt werden. Mitunter aber rückt die Attacke auch erst mit der Kommunikationsaufnahme der Angreifer in das Blickfeld des Unternehmens.
Diese kann auf unterschiedlichen Wegen erfolgen: In der Regel erscheinen auf dem betroffenen System Meldungen, die bereits beim Angriff hinterlegt sind und nach einer bestimmten Zeit aktiviert werden. Diese besagen üblicherweise, dass das System verschlüsselt wurde und eine Entschlüsselung der Unternehmensdaten erst erfolgt, nachdem die Zahlung eines bestimmten Betrages, üblicherweise an ein Bitcoin Wallet mit einer spezifischen Kennung, getätigt wurde. Mitunter kommt es aber auch vor, dass telefonisch Kontakt aufgenommen wird, um Druck auszuüben, Drohkulissen aufzubauen (nächste Schritte, Veröffentlichung der Daten) und die „Bereitschaft“ für die Auslösung zu erhöhen.
Was kann ich tun, wenn ich angegriffen wurde?
Als Sofortmaßnahme gilt es zunächst, das betroffene System vollständig zu isolieren und die weiteren Systeme im Netzwerk zu schützen, um weiteren Schaden und die Ausbreitung der Malware abzuwenden. „Ein Herunterfahren des Systems sollte jedoch unbedingt vermieden werden, da viele Informationen im RAM-Speicher, die für die forensische Analyse hilfreich sind, damit gelöscht werden. Bei ersten Hinweisen auf eine Verschlüsselung gilt: sofort das Netzwerkkabel ziehen, das WLAN ausschalten und nicht mehr an dem System arbeiten“, so Wähling. Es empfehle sich ebenfalls, im Falle eines Angriffs die Polizei zu benachrichtigen und eine Fachfirma einzuschalten. Die Analyse, wann eine Malware über welche Wege eingeschleust wurde, wie sie sich verbreitet hat und wie man die betroffenen Systeme sicher bereinigt, übersteigt in aller Regel die Kompetenzen der eigenen IT-Abteilung.
„Hilfestellung gibt hier das BSI, die eine Liste qualifizierter Fachfirmen mit spezieller Expertise im Bereich Advanced Persistent Threats und auch der Ransomware-Forensik führt. Wir als IT-Systemhaus haben immer häufiger mit Ransomware-Attacken zu tun und verfügen bereits über ein breites Netzwerk an Forensik-Experten, um zum einen das Unternehmen aus der „Schusslinie“ des Angreifers zu bewegen, die IT von der Malware zu befreien und das System vom Notbetrieb wieder in den Produktivbetrieb zu überführen, aber auch um Schwachstellen in der Infrastruktur zu identifizieren und Penetrationstests durchzuführen“, so Wähling weiter.
Die Feststellung, um welche Art von Malware es sich handelt und den Code zu identifizieren ist immer dann erfolgsversprechend, sofern Entschlüsselungs-Tools für die jeweiligen Malware-Codes bereits zur Verfügung stehen. Viele Ransomware-Programmcodes sind heute bereits entschlüsselt und es stehen entsprechende Tools zur Entschlüsselung der Daten bereit.
Besonders gefährlich sind jedoch die sogenannten Zero-Day Attacken, deren Angriffsmethodiken in der Öffentlichkeit noch gar nicht bekannt sind und keine wirkungsvollen bekannten Gegenmaßnahmen existieren.
Die oftmals naheliegende Lösung, einfach ein neues Backup aufzuspielen, ist nicht unbedingt erfolgsversprechend, da man in aller Regel zunächst nicht weiß, ob auch das Backup bereits kompromittiert wurde und man Gefahr läuft, dass sich die Malware wieder ausbreitet. Je älter das Backup ist, desto größer ist zwar die Wahrscheinlichkeit, dass das Backup nicht kompromittiert ist – jedoch ist auch eine signifikant größere Menge von verlorengegangenen Daten seit dem letzten Backup wahrscheinlicher.
Diese Überlegungen unterliegen einer Risikoabwägung und sind daher nicht unbedingt der erste Schritt, um weiteren Schaden abzuwenden. Hinzu kommt: wird ein Backup vom letzten Jahr eingespielt, aber die Schwachstelle, über die das System angegriffen wurde, ist noch aktiv, dann schützt auch ein vorübergehendes Datenbackup in aller Regel nicht.
Wie kann ich mich vor Ransomware-Attacken schützen?
Der kritischste Punkt in der Sicherheitskette ist wie so oft ¬der „Faktor Mensch“, ist er doch für über 80 Prozent aller IT-Sicherheitsvorfälle verantwortlich. Die Sicherheitstechnik und -Konzepte können noch so gut sein – sofern sie den Menschen nicht berücksichtigen, verbleibt immer eine zentrale Schwachstelle. Eine erfolgreiche und nachhaltige IT-Sicherheitsstrategie muss daher auch die Belegschaft einbeziehen.
Durch Awareness-Trainings (online, vor Ort oder hybrid) etwa werden die Mitarbeitenden für die Risiken und Stolpersteine beim Umgang mit der IT und Unternehmensdaten (Passwortschutz und Zweifaktorauthentifizierung, Einsatz von Mobilgeräten, sicherer E-Mail-Umgang, sicher unterwegs im www etc.) sensibilisiert, um ein einheitliches Sicherheitsniveau bei Technik und Mensch zu erreichen. Es ist menschlich Fehler zu machen, aber die Menschen müssen auch in der Lage sein zu erkennen, dass sie Fehler gemacht haben, um das Ausmaß einzugrenzen. Durch die Etablierung einer einheitlichen Sicherheitskultur können betriebswirtschaftliche Risiken durch Hacking, Malware, Datendiebstahl und Betriebsausfälle signifikant vermindert werden.
Zur Prävention von Malware-Angriffen ist zudem ein konstantes und sorgfältiges Patch Management notwendig: CVEs müssen regelmäßig überprüft werden, um Schwachstellen im System zu identifizieren und mögliche Einfallstore schnell zu beheben. Über eine sinnvolle Netzwerksegmentierung, beispielsweise durch die Separation von Servern, Clients und Produktionsnetzen, lassen sich bereits in 80 – 90 Prozent aller Fälle verhindern, dass sich Schadsoftware auf weitere Systeme ausbreitet.
„Größtmögliche Sicherheit bietet aber nur ein konsequentes Zero-Trust-Konzept in Verbindung mit einer Zweifaktorauthentifizierung zu den jeweiligen Systemen. Zero-Trust ist aber nicht nur ein Security-Thema, sondern eine Strategie, die in der gesamten Organisationsstruktur verankert werden muss“, so Wähling weiter. „Die Erstellung eines Notfallhandbuches und ein Business Continuity Management (BCM) geben Unternehmen darüber hinaus ein Schritt-für-Schritt Umsetzungsrahmenwerk an die Hand, um sich optimal auf Angriffe und Ausfälle in der IT-Infrastruktur vorzubereiten.“ (rhh)
